PDPC_Consult-57

เรื่อง สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ
ขอหารือกรณีการจัดเก็บรักษาข้อมูลส่วนบุคคลของผู้ให้บริการโทรศัพท์เคลื่อนที่

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ (๑) และมาตรา ๖

2. พระราชบัญญัติการประกอบกิจการโทรคมนาคม พ.ศ. ๒๕๔๔ และที่แก้ไขเพิ่มเติม

3. พระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการวิทยุกระจายเสียง
   วิทยุโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. ๒๕๕๓ และที่แก้ไขเพิ่มเติม

4. ประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรฐานของสัญญาให้บริการ
   โทรคมนาคม พ.ศ. ๒๕๔๙
   ข้อ ๒๒ วรรคสอง

5. ประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของ
   ผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพใน
   การสื่อสารถึงกันโดยทางโทรคมนาคม ลงวันที่ ๑๘ พฤษภาคม พ.ศ. ๒๕๔๙ (ยกเลิกแล้ว)
   ข้อ ๑ และข้อ ๘

6. ประกาศคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม
   แห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูล
   ส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม
   ลงวันที่ ๑๗ สิงหาคม พ.ศ. ๒๕๖๖
   ข้อ ๕

ข้อหารือ

สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม
แห่งชาติ (สำนักงาน กสทช.) แจ้งว่า ตามที่สำนักงาน กสทช. ได้มีประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ
เรื่อง มาตรฐานของสัญญาให้บริการโทรคมนาคม พ.ศ. ๒๕๔๙ (“ประกาศมาตรฐานของสัญญาฯ”)
ซึ่งมีข้อกำหนดให้ผู้ให้บริการโทรศัพท์เคลื่อนที่มีหน้าที่ต้องพิสูจน์ข้อเท็จจริงเพื่อยืนยันความถูกต้องของ
การเรียกเก็บค่าธรรมเนียมและค่าบริการโทรคมนาคม และประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ
เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว
และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม (“ประกาศมาตรการคุ้มครองสิทธิฯ”) ซึ่งกำหนดให้
ผู้ให้บริการโทรศัพท์เคลื่อนที่ต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการในช่วงเวลา ๓ เดือนสุดท้ายของ
การใช้บริการนับถัดจากวันที่ใช้บริการในปัจจุบัน สำนักงาน กสทช. ได้รับเรื่องร้องเรียนของผู้ใช้บริการ
ในกรณีประสบปัญหาเงินหายออกจากระบบโดยไม่ทราบสาเหตุ ซึ่งผู้ให้บริการโทรศัพท์เคลื่อนที่ไม่สามารถ

๒

แสดงรายละเอียดข้อมูลการใช้งาน (Call Detail Recording: CDR) ซึ่งอาจเป็นสาเหตุที่ทำให้ยอดเงินคงเหลือ ในระบบของผู้ร้องเรียนหายโดยไม่ทราบสาเหตุตามข้อ ๒๒ วรรคสอง ของประกาศมาตรฐานของสัญญาฯ ได้ เนื่องจากตามข้อ ๘ ของประกาศมาตรการคุ้มครองสิทธิฯ กำหนดให้ผู้รับใบอนุญาตต้องเก็บรักษาข้อมูล ส่วนบุคคลของผู้ใช้บริการในช่วงเวลา ๓ เดือนสุดท้ายของการใช้บริการนับถัดจากวันใช้บริการในปัจจุบัน ดังนั้น เพื่อให้การพิจารณาเรื่องร้องเรียนเป็นไปโดยถูกต้องครบถ้วน จึงขอหารือกรณีรายละเอียดข้อมูลการใช้งาน (CDR) ซึ่งอาจเป็นสาเหตุที่ทำให้ยอดเงินคงเหลือในระบบของผู้ร้องเรียนหายโดยไม่ทราบสาเหตุ ถือเป็นข้อมูล ส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบกับประกาศมาตรการคุ้มครอง สิทธิฯ ซึ่งต้องมีการจัดเก็บรักษาตามที่กฎหมายกำหนด หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า ข้อมูลรายละเอียดข้อมูลการใช้งาน (Call Detail Recording: CDR) เป็นข้อมูลการใช้บริการของผู้ใช้บริการ โทรคมนาคม ซึ่งทำให้สามารถระบุตัวผู้ใช้บริการนั้นได้ไม่ว่าทางตรงหรือทางอ้อมจากข้อมูลดังกล่าวเอง หรือจากข้อมูลดังกล่าวประกอบกับข้อมูลอื่นที่ผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมมีหรือสามารถเข้าถึงได้ จึงถือเป็นข้อมูลส่วนบุคคลตามบทนิยามในข้อ ๑ ของประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม ลงวันที่ ๑๘ พฤษภาคม พ.ศ. ๒๕๔๙ (ปัจจุบันถูกกฎหมาย) และถือเป็นข้อมูลส่วนบุคคลของผู้ใช้บริการตามบทนิยามในข้อ ๕ ของประกาศคณะกรรมการกิจการ กระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการ โทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ ๑๗ สิงหาคม พ.ศ. ๒๕๖๖ (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ) และเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ข้อมูล CDR จึงเป็นข้อมูลส่วนบุคคลตามบทนิยามในมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย โดยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวนั้น มาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ

เมื่อพิจารณาตามประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ ๑๘ พฤษภาคม พ.ศ. ๒๕๔๙ (ปัจจุบันถูกกฎหมาย) และประกาศคณะกรรมการ

๓

กิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ ๑๗ สิงหาคม พ.ศ. ๒๕๖๖ (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ) ซึ่งออกโดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม และกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม ได้กำหนดรายละเอียดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในกิจการโทรคมนาคมไว้โดยเฉพาะแล้ว ซึ่งรวมถึงการเก็บรวบรวมและการเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม โดยมีกำหนดระยะเวลาที่ผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม ดังนั้น การเก็บรวบรวมการเก็บรักษา และระยะเวลาในการเก็บรักษาข้อมูล CDR ตามข้อหารือนี้ จึงต้องเป็นไปตามประกาศดังกล่าวเป็นหลักก่อน แล้วจึงพิจารณาข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม สำนักงาน กสทช. จึงควรพิจารณากำกับดูแลการดำเนินการของผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมในส่วนที่เกี่ยวกับข้อมูล CDR ของผู้ใช้บริการโทรคมนาคมให้เป็นไปตามประกาศดังกล่าว และอาจพิจารณาทบทวนความเหมาะสมของประกาศดังกล่าวได้ตามความจำเป็นเพื่อให้เป็นไปตามมาตรฐานของสัญญาให้บริการโทรคมนาคมที่เกี่ยวข้องและเป็นการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคม